AI 기본법 표시 의무, C2PA로 어디까지 확인할 수 있을까

AI로 만든 광고 이미지가 게시되고, 생성형 AI로 더빙한 영상이 서비스에 올라옵니다. 일부 콘텐츠 플랫폼은 이용자가 직접 이미지를 만들거나 영상을 편집할 수 있는 생성형 AI 기능도 제공합니다.

이러한 사례의 공통점은 AI가 단순한 내부 제작 도구를 넘어, 이용자에게 제공되는 콘텐츠나 서비스 기능에 직접 사용된다는 점입니다. 따라서 콘텐츠 사업자는 이용자가 결과물의 AI 생성 사실을 어디에서 어떻게 확인할 수 있도록 할지 검토해야 합니다.

2026년 1월 22일부터 시행된 「인공지능 발전과 신뢰 기반 조성 등에 관한 기본법」, 이른바 AI 기본법은 인공지능사업자가 생성형 AI 제품·서비스와 결과물에 대해 고지하거나 표시해야 할 내용을 규정하고 있습니다.

다만 AI 생성 사실을 표시하는 것만으로 콘텐츠 운영 과정의 모든 문제가 해결되는 것은 아닙니다. 이용자에게 AI 생성 여부를 알리는 일과 콘텐츠의 제작·편집 이력을 확인하는 일, 외부에 유출된 영상의 배포 경로를 찾는 일은 확인하려는 정보가 서로 다릅니다. 때문에 AI 기본법 표시 의무를 검토할 때는 이 세 영역을 구분해서 볼 필요가 있습니다.

이 글에서는 법에서 요구하는 고지·표시 범위를 먼저 살펴보고, C2PA와 포렌식 워터마킹이 콘텐츠 운영 과정에서 각각 어떤 정보를 확인하는지 정리합니다.

AI 기본법 제31조는 인공지능사업자가 제품·서비스와 결과물을 제공할 때 지켜야 할 투명성 의무를 세 가지 상황으로 나눠 규정하고 있습니다.

1. AI 기반 제품·서비스라는 사실을 사전에 알려야 하는 경우
   의료, 채용, 대출 심사, 교통, 공공서비스처럼 사람의 안전이나 권리에 큰 영향을 줄 수 있는 AI, 즉 고영향 AI 또는 생성형 AI를 이용한 제품·서비스를 제공하려는 경우에는 해당 제품이나 서비스가 AI에 기반해 운용된다는 사실을 이용자에게 미리 알려야 합니다.

2. 생성형 AI 결과물이라는 사실을 표시해야 하는 경우
   생성형 AI 또는 이를 이용한 제품·서비스를 제공하는 경우에는 그 결과물이 생성형 AI로 만들어졌다는 사실을 표시해야 합니다.

3. 실제와 구분하기 어려운 가상 콘텐츠를 고지·표시해야 하는 경우
   실제와 구분하기 어려운 가상의 음향·이미지·영상 등을 제공할 때에는 이용자가 AI로 생성된 결과물임을 명확하게 인식할 수 있도록 고지하거나 표시해야 합니다. 다만 예술적·창의적 표현물은 전시나 감상을 방해하지 않는 방식으로 표시할 수 있습니다.

이를 콘텐츠 서비스 운영 관점에서 정리하면 다음과 같습니다.

세 가지 상황을 구분했다면, 다음으로는 표시 방법을 확인해야 합니다. 시행령은 생성형 AI 결과물의 표시 방법을 사람이 직접 인식할 수 있는 방식과 기계가 판독할 수 있는 방식으로 나눕니다. 기계 판독 방식을 사용하더라도, 해당 결과물이 생성형 AI로 만들어졌다는 사실은 문구나 음성 등으로 한 차례 이상 안내해야 합니다.

이 점 때문에 콘텐츠 서비스에서는 이용자가 화면에서 바로 확인할 수 있는 안내와 콘텐츠 파일에 남기는 기계 판독 정보를 나눠 설계해야 합니다. 법과 시행령은 C2PA나 특정 워터마킹 기술을 의무적인 표시 수단으로 지정하지 않습니다. 따라서 콘텐츠 파일에 C2PA 정보를 넣거나 워터마크를 적용했다는 이유만으로 AI 기본법의 표시 의무를 모두 이행했다고 단정하기는 어렵습니다.

AI 기본법 제31조의 의무 주체는 법에서 정한 인공지능사업자입니다. 따라서 콘텐츠 제작 과정에서 AI 도구를 사용했다는 이유만으로 모든 콘텐츠 기업에 동일한 고지·표시 의무가 적용된다고 보기는 어렵습니다.

먼저 확인해야 할 것은 AI가 내부 제작 과정에서만 쓰이는지, 아니면 이용자에게 제공되는 제품·서비스의 일부로 쓰이는지입니다.

시행령은 AI 제품·서비스가 인공지능사업자의 내부 업무 용도로만 사용되는 경우, 고지·표시 의무의 전부 또는 일부를 적용하지 않을 수 있는 예외 사유로 두고 있습니다. 반면 이용자가 직접 이미지를 생성하거나 영상을 편집할 수 있는 기능, AI 더빙이나 가상 인물 생성 기능을 제품·서비스 형태로 제공한다면 적용 여부를 더 구체적으로 살펴봐야 합니다.

콘텐츠 기업은 자사 서비스에서 AI가 쓰이는 방식을 다음 항목으로 나눠 확인할 수 있습니다.

• 내부 제작자가 광고 이미지나 영상 제작에 사용하는 도구인가
• 이용자가 직접 사용하는 이미지·영상 생성 기능인가
• AI 더빙이나 음성 합성 기능을 이용자에게 제공하는가
• 결과물이 서비스 화면에서만 표시되는가
• 이용자가 결과물을 다운로드하거나 외부에 공유할 수 있는가
• 결과물이 다른 플랫폼으로 이동한 뒤에도 AI 생성 표시를 확인할 수 있는가

검토 기준은 단순히 “AI를 사용했는가”가 아닙니다. 누가 AI 기능을 제공하는지, 이용자가 그 기능을 직접 사용하는지, 생성된 결과물이 어떤 방식으로 표시·저장·공유되는지를 함께 봐야 합니다.

실제 적용 여부와 표시 방식은 서비스 구조와 사업자의 역할에 따라 달라질 수 있으므로, 필요한 경우 법무 검토와 함께 확인하는 것이 좋습니다.

AI 생성물 표시, C2PA, 포렌식 워터마킹, DRM, Anti-Piracy는 모두 콘텐츠 운영 과정에서 확인해야 할 정보를 다룹니다. 하지만 각 기술이 확인하려는 대상과 사용 목적은 서로 다릅니다.

AI 생성물 표시는 이용자가 해당 결과물이 생성형 AI로 만들어졌다는 사실을 인식할 수 있도록 안내하는 데 목적이 있습니다. 반면 C2PA는 콘텐츠의 제작·편집 정보와 발행 주체를 확인할 수 있도록 출처 정보를 기록하는 방식에 가깝습니다.

포렌식 워터마킹은 또 다른 역할을 합니다. 외부에서 유출본이 발견됐을 때 해당 영상이 어느 계정, 재생 세션, 배포본에서 시작됐는지 확인하는 데 활용됩니다. Multi-DRM은 콘텐츠를 누가, 어떤 조건에서 재생할 수 있는지 제어하는 기술이며, Anti-Piracy는 외부 채널에서 무단 유통되는 콘텐츠를 찾고 후속 대응을 지원하는 역할을 합니다.

정리하면 다음과 같습니다.

AI 콘텐츠를 운영할 때는 하나의 기술로 모든 문제를 해결하려 하기보다, 콘텐츠가 제작·배포·재생·유통되는 단계별로 필요한 정보를 나눠 관리해야 합니다. 생성형 AI 결과물임을 이용자에게 알리는 표시, 콘텐츠 출처 정보, 유출본 식별, 재생 권한 관리, 외부 유통 대응은 각각 다른 역할을 담당하기 때문입니다.

C2PA는 디지털 콘텐츠에 제작·편집 정보와 서명 정보를 기록하고, 해당 정보가 현재 파일과 연결되어 있는지 확인하기 위한 개방형 기술 표준입니다.

콘텐츠 제작에 사용된 도구와 편집 작업, AI 사용 여부 등의 정보는 C2PA Manifest(제작·편집 이력과 서명 정보를 기록해 파일과 함께 저장하는 데이터 구조)에 기록할 수 있습니다.
이용자가 확인하는 출처 정보는 일반적으로 Content Credentials(콘텐츠 출처 정보라고도 하며, C2PA Manifest에 담긴 내용을 이용자에게 보여주는 화면·표시 형태)라는 이름으로 제공됩니다.

C2PA는 다음과 같은 정보를 확인하는 데 활용됩니다.

• 누가 또는 어떤 시스템이 출처 정보를 기록했는가
• 어떤 도구가 콘텐츠 제작에 사용됐는가
• 어떤 편집 작업이 기록되어 있는가
• 제작 과정에서 AI가 사용됐다고 기록되어 있는가
• 현재 파일이 서명된 출처 정보와 연결되는가

다만 C2PA가 콘텐츠 내용의 사실 여부까지 판단하는 것은 아닙니다.

특정 기관이 제작자로 서명했다는 사실과 편집 기록은 확인할 수 있습니다. 그러나 영상 속 주장이나 장면이 실제 사실과 일치하는지까지 C2PA가 보증하지는 않습니다.

콘텐츠 출처 정보를 확인할 때에는 서명 주체와 제작 기록, 콘텐츠가 게시된 경로를 함께 살펴봐야 합니다.

📎 함께 보면 좋은 글 : AI 시대, C2PA 기술로 콘텐츠 신뢰를 회복할 수 있을까?

원본 파일이 그대로 이용자에게 전달되는 경우는 많지 않습니다.

영상은 여러 해상도로 인코딩되고 플랫폼 규격에 맞게 변환됩니다. 일부 장면은 숏폼이나 예고편으로 편집됩니다. 다른 플랫폼에 다시 업로드하는 과정에서 파일에 포함된 C2PA Manifest(제작·편집 이력과 서명 정보를 기록해 파일과 함께 저장하는 데이터 구조)가 제거될 수도 있습니다.

C2PA는 Manifest와 콘텐츠를 연결하기 위해 하드 바인딩과 소프트 바인딩을 사용합니다.
하드 바인딩은 특정 Manifest가 현재 파일과 연결되는지 검증합니다. 소프트 바인딩은 콘텐츠 지문이나 비가시 워터마크를 이용해 인코딩 또는 편집된 파생 콘텐츠를 찾는 데 활용할 수 있습니다. 파일에서 Manifest가 제거됐더라도 외부 저장소에 사본이 남아 있다면 관련 정보를 다시 찾을 수 있습니다.

다만 소프트 바인딩의 검색 결과가 항상 정확한 것은 아닙니다. C2PA 역시 특정 워터마킹이나 콘텐츠 지문 기술의 내구성을 보증하지 않습니다. 검색된 Manifest가 실제 콘텐츠와 일치하는지 별도로 확인해야 합니다.

서비스에 C2PA를 적용한다면 실제 배포 과정을 기준으로 테스트해야 합니다.

• 영상 인코딩과 트랜스코딩
• 해상도와 화면 비율 변경
• 클립 추출과 장면 편집
• 플랫폼 업로드와 다운로드
• 메신저와 소셜미디어 재전송
• 화면 녹화와 재촬영

원본 파일에 콘텐츠 출처 정보를 적용한 것만으로는 충분하지 않습니다. 실제 인코딩과 배포 과정을 거친 뒤에도 출처 정보가 남거나 다시 연결되는지 확인해야 합니다.

C2PA의 소프트 바인딩에서 활용될 수 있는 비가시 워터마크와 포렌식 워터마킹은 모두 콘텐츠에 식별 정보를 남길 수 있습니다. 그러나 사용 목적은 다릅니다.

C2PA에서 비가시 워터마크는 콘텐츠와 C2PA Manifest(콘텐츠의 제작·편집 기록과 서명 정보를 담은 데이터 구조, Content Credentials라고도 함)를 다시 연결하는 데 사용됩니다. 파일에서 Manifest가 분리됐을 때 외부 저장소에 보관된 출처 정보를 찾는 역할입니다.

포렌식 워터마킹은 사용자·재생 세션·배포본마다 다른 식별 정보를 영상에 삽입합니다. 외부에서 유출본이 발견되면 검출한 값을 발급 기록과 대조해 유출 경로를 확인합니다.
즉, C2PA의 비가시 워터마크는 콘텐츠와 제작·편집 정보를 연결합니다. 포렌식 워터마킹은 유출된 사본과 계정·세션·배포본을 연결합니다.

포렌식 워터마킹이 AI 생성 사실이나 콘텐츠 내용의 사실 여부를 알려주는 것은 아닙니다. 반대로 C2PA도 유출본이 어느 구독자 계정이나 재생 세션에서 복제됐는지 확인해 주지는 않습니다.

AI 콘텐츠를 운영할 때는 법적 표시 의무만 따로 볼 수 없습니다. 이용자가 화면에서 보는 안내, 파일에 남는 출처 정보, 유출이 발생했을 때 확인할 수 있는 식별 정보가 서로 다른 위치에서 관리되기 때문입니다.

서비스 화면에서 AI 생성 사실을 안내해도 파일이 외부로 이동하면 해당 안내가 함께 전달되지 않을 수 있습니다. 반대로 파일에 기계 판독 정보를 넣어도 이용자가 이를 확인할 화면이나 도구가 없다면, 사람이 직접 인식할 수 있는 안내가 빠질 수 있습니다.

따라서 다음 항목을 각각 확인해야 합니다.

• 이용자는 AI 생성 사실을 어디에서 확인하는가
• 생성 결과 화면에 안내가 표시되는가
• 다운로드한 파일에도 관련 정보가 남는가
• 인코딩과 편집 이후에도 정보가 유지되는가
• 외부 플랫폼으로 이동하면 어떤 정보가 사라지는가
• 이용자가 출처 정보를 확인할 수 있는 기능이 있는가

사람이 보는 표시와 기계가 읽는 정보가 같은 위치에 있을 필요는 없습니다. 다만 서비스 안의 안내와 파일이 외부로 이동한 이후의 정보를 따로 점검해야 합니다.

AI 생성물 표시만으로 자사 콘텐츠의 사칭이나 유료 영상의 무단 유통까지 확인할 수는 없습니다.
공식 콘텐츠에는 제작·편집 이력을 확인할 수 있는 C2PA 정보를 적용할 수 있습니다. 유료 또는 제한된 배포본에는 계정·세션·배포 경로를 구분하는 포렌식 워터마킹이 별도로 필요합니다.

외부에서 의심스러운 콘텐츠가 발견되면 다음 순서로 확인할 수 있습니다.

1. 공식 원본과 발견된 콘텐츠를 비교합니다.
2. 콘텐츠 출처 정보(Content Credentials)와 서명 정보를 확인합니다.
3. 포렌식 워터마크가 있다면 식별값을 검출합니다.
4. 검출값을 계정·세션·배포 기록과 대조합니다.
5. 무단 유통이 확인되면 게시 중단과 재게시 모니터링을 진행합니다.

제작팀의 C2PA 정보와 보안팀의 워터마크 발급 기록, 외부 모니터링 결과가 분리되어 있으면 사고 이후 자료를 찾는 데 시간이 걸립니다.

각 정보를 누가 관리하고, 문제가 발생했을 때 어떤 파일과 기록을 전달할지 사전에 정해두어야 합니다.

자주 묻는 질문

AI를 사용했다는 사실만으로 모든 콘텐츠에 같은 표시 의무가 적용된다고 단정할 수는 없습니다. 내부 제작 과정에서 AI 도구를 사용하는 경우와 이용자에게 생성형 AI 제품·서비스를 제공하는 경우를 구분해야 합니다. 구체적인 적용 여부는 서비스 구조와 사업자의 역할에 따라 법무 검토가 필요합니다.

C2PA를 적용했다는 이유만으로 표시 의무를 모두 충족한다고 단정할 수 없습니다. C2PA는 AI 사용 여부를 포함한 출처 정보를 기계가 판독할 수 있는 형태로 기록하는 데 활용할 수 있습니다. 그러나 법과 시행령은 C2PA를 의무 이행 수단으로 지정하지 않습니다. 기계 판독 방식을 사용하더라도 AI 생성 사실을 문구나 음성 등으로 한 차례 이상 안내해야 합니다.

그렇지 않습니다. C2PA는 콘텐츠의 제작·편집 정보와 서명이 현재 파일과 연결되는지 검증합니다. 콘텐츠 속 주장이나 장면이 실제 사실과 일치하는지까지 판단하지는 않습니다. 서명 주체와 제작 기록, 콘텐츠의 게시 경로를 함께 확인해야 합니다.

C2PA는 콘텐츠의 제작·편집 이력과 AI 사용 정보를 기록하고 확인하기 위한 표준입니다. 포렌식 워터마킹은 사용자·재생 세션·배포본마다 다른 식별값을 삽입합니다. 유출본이 발견되면 해당 값을 발급 기록과 대조해 유출 경로를 확인합니다.
C2PA가 제작 과정을 설명한다면, 포렌식 워터마킹은 유출된 사본의 배포 경로를 식별합니다.

마무리하며

AI 기본법 표시 의무는 이용자가 생성형 AI 결과물이라는 사실을 알 수 있도록 하는 데 목적이 있습니다. 이는 콘텐츠가 AI로 만들어졌는지, 이용자가 그 사실을 화면이나 안내 문구를 통해 확인할 수 있는지와 관련된 영역입니다.

C2PA는 제작·편집 이력과 AI 사용 정보를 확인하는 데 활용할 수 있습니다. 다만 콘텐츠 내용의 사실 여부를 판단하거나, 유출본이 어느 계정이나 재생 세션에서 시작됐는지까지 알려주는 기술은 아닙니다.
따라서 콘텐츠 사업자는 AI 생성 사실을 어디에서 표시할지, 공식 콘텐츠의 출처 정보를 어떻게 남길지, 유료 콘텐츠가 유출됐을 때 어떤 기록으로 배포 경로를 확인할지를 나눠서 봐야 합니다.

AI 콘텐츠 운영에서는 표시, 출처 정보, 유출 대응이 각각 다른 역할을 합니다. 이용자에게 AI 생성 사실을 알리는 표시 체계와 함께, 콘텐츠의 제작·편집 이력을 확인할 수 있는 정보, 재생 권한을 관리하는 DRM, 유출본 식별을 위한 포렌식 워터마킹, 외부 유통 채널을 모니터링하는 Anti-Piracy까지 단계별로 검토해야 합니다.

AI 콘텐츠의 표시, 출처 정보 관리, 유출본 식별, 외부 유통 대응을 현재 서비스 구조에서 어떻게 나눠 운영할 수 있는지 도브러너 콘텐츠 보안 상담에서 확인해 보세요.